Cumplir el Reglamento de IA (Reglamento UE 2024/1689) no es firmar un documento: es un proceso con pasos concretos. Esta es la lista de comprobación paso a paso para una pyme española que usa IA, ordenada de lo primero a lo último, con enlace a la guía detallada de cada punto. Si haces estos diez pasos, tienes el cumplimiento cubierto y —lo más importante— documentado. Última actualización: septiembre de 2026, con el calendario ya ajustado por el Digital Omnibus.
Haz los pasos 1 y 2 en minutos. El diagnóstico gratuito inventaría tus sistemas de IA y los clasifica por riesgo automáticamente, que es por donde empieza todo lo demás.
1. Inventaría tus sistemas de IA
Sin inventario no hay cumplimiento. Lista cada herramienta de IA que usa tu empresa: ChatGPT, Copilot, Gemini, un chatbot, un CRM con IA, un corrector, un generador de imágenes. Anota para qué la usas y quién. Tienes una plantilla de inventario para empezar.
2. Clasifícalos por riesgo
De la categoría de cada sistema salen tus obligaciones: prohibido, de alto riesgo, de transparencia o de riesgo mínimo. La mayoría de herramientas de una pyme son de transparencia o mínimo, pero conviene comprobarlo una a una (ver el glosario si dudas con algún término).
3. Descarta las prácticas prohibidas
Comprueba que ningún uso cae en las prácticas prohibidas del artículo 5 (manipulación, puntuación social, ciertos usos biométricos). Están prohibidas desde febrero de 2025 y son el tramo de multa más alto.
4. Forma a tu equipo
El artículo 4 obliga desde febrero de 2025 a que quien usa IA tenga competencias suficientes. Es proporcional al uso, y se puede bonificar con FUNDAE. Deja constancia de quién se ha formado y en qué.
5. Aplica la transparencia
Desde agosto de 2026: avisa de que tu chatbot es una IA y etiqueta el contenido (imágenes, vídeo, audio) generado o manipulado con IA. Puedes generar el aviso con el generador de aviso de transparencia.
6. Refuerza los sistemas de alto riesgo
Si algún sistema es de alto riesgo (p. ej. IA de selección de personal), tienes obligaciones reforzadas: supervisión humana, registros e información a los trabajadores. Sus fechas de aplicación son diciembre de 2027 (Anexo III) y agosto de 2028 (Anexo I).
7. Revisa la protección de datos
Usar IA con datos de clientes o empleados activa el RGPD. Revisa la base legal y, si procede, una evaluación de impacto (EIPD). Ojo especial con meter datos personales en ChatGPT u otras herramientas.
8. Documéntalo todo
El cumplimiento hay que poder demostrarlo. Ten por escrito tu política de uso de IA, el inventario, la clasificación de riesgo, los avisos de transparencia y el registro de formación. Un software de cumplimiento lo mantiene ordenado y actualizado.
9. Vigila el calendario
Las obligaciones son escalonadas hasta 2028. Revisa el calendario de aplicación para saber qué te toca y cuándo, y las sanciones por si te lo saltas.
10. Mantenlo vivo
La norma cambia (el Digital Omnibus movió plazos en 2026) y tú incorporas herramientas nuevas. Revisa el inventario y las políticas al menos cada trimestre. Cumplir no es una foto, es una película. Si tienes dudas sobre el método, mira si te conviene abogado, Excel o software.
Preguntas frecuentes
¿Por dónde empiezo a cumplir el Reglamento de IA?
Por el inventario y la clasificación de riesgo: lista cada sistema de IA que usas y comprueba su categoría. De ahí salen el resto de obligaciones.
¿Cuánto se tarda en cumplir siendo una pyme?
Para una pyme con usos de riesgo mínimo o de transparencia, el grueso (inventario, clasificación, políticas y avisos) se resuelve en días. Los sistemas de alto riesgo requieren más trabajo y documentación.
Fuentes
- Reglamento (UE) 2024/1689 (Reglamento de IA), artículos 4, 5, 6, 50 y 99.
- Digital Omnibus sobre IA (2026); AESIA; AEPD.
Esta guía es orientativa y no sustituye el asesoramiento jurídico.